Kurze Informationen für die Leserschaft, die Ricoh-Geräte in ihrem Bestand haben. Ein Blog-Leser informierte mich gerade, dass in seinem Unternehmensumfeld die Bibliotheksdatei SsUCommon.dll als schädlich bzw. Virus/Trojaner geflaggt werde. Die DLL wird dann in Quarantäne geschoben. Dürfte ein falscher Alarm sein.
Was ist die SsUCommon.dll?
Die SsUCommon.dll ist eine DLL-Datei von PFU Limited (heute Teil von Ricoh), die zum ScanSnap Online-Update bzw. zur Update-Komponente der Fujitsu/Ricoh ScanSnap Scanner-Software gehört. Die Datei wird typischerweise im Installationspfad:
C:\Program Files (x86)\PFU\ScanSnap\Update\
abgelegt und enthält gemeinsame Funktionen ("Common DLL") für den automatischen Update-Mechanismus der ScanSnap-Software. Dazugehörige Dateien sind z. B. SsUWatcher.exe (der Update-Watcher, der im Hintergrund läuft) und andere SsU*-Dateien. Es gab in der Vergangenheit immer wieder Alarme, dass die Datei Malware enthalte.
Eine Lesermeldung über einen Fund
Blog-Leser Sebastian A. hat mich heute morgen per E-Mail kontaktiert (danke) und schrieb, dass es Probleme gäbe und vielleicht ein Thema für die Leserschaft sei. Beim Leser im Haus gibt es Probleme mit dem Dokumentenscanner von Ricoh (Sp-1120n). Seit heute (27. Mai 2026) wird die Datei SsUCommon.dll vom OnlineUpdater in TrendMicro als "Trojan.Win32.ZYX.USBLEQ26" gekennzeichnet und in Quarantäne verschoben. Der Speicherort der Datei ist:
C:\Program Files (x86)\SP Series Online Update\SsUCommon.dll
Der Leser schreibt, dass man eigentlich nie ein Problem damit hatte. Im Internet findet er dazu keine Einträge. Bei Virustotal wird es von 17/71 Scannern erkannt, wobei da TrendMicro nicht dabei ist.
Der Leser glaubt, dass es doch einige Blog-Leser betreffen könnte, da das ein Produkt für viele Büros ist, was noch im Einsatz ist. Jemand aus der Leserschaft von diesem Thema betroffen? Gibt es weitere Erkenntnisse oder Entwarnung?
MVP: 2013 – 2016
also bei so vielen positives auf Virus Total, würde ich jetzt nicht von false positives ausgehen. jm2c
Wäre jetzt auch nicht ungewöhnlich das ein Updatemechanismus kompromittiert worden wäre.
Bei 1 bis 2 ok, aber bei 17? Und dann auch nicht mit behavior oder pua & Co. Wäre mir persönlich zu heiß.
Steht auf Virustotal unter Details wann die Datei das erste Mal gescannt wurde?
Hallo,
ich hab den Beitrag quasi eingereich.
Bei VirusTotal steht folgendes für den Hash c8b3f8b965835e36b13125eaeef925b026119327776e53c80044943d1fb832d4
Creation Time
2024-03-14 14:35:21 UTC
First Submission
2024-08-02 07:51:34 UTC
Last Submission
2026-05-27 06:13:40 UTC
Last Analysis
2026-05-26 17:36:26 UTC
https://www.virustotal.com/gui/file/c8b3f8b965835e36b13125eaeef925b026119327776e53c80044943d1fb832d4/details
Ich war mal so frei und habe via Bild (Screenshot) -> Text OCR den MD5 Hash kopiert und folgenden Link VirusTotal hergestellt:
https://www.virustotal.com/gui/file/c8b3f8b965835e36b13125eaeef925b026119327776e53c80044943d1fb832d4
TrendMicro wurde bei Virustotal wohl aktualisiert und meldet für die Datei nun auch einen Fund. Damit sind es aktuell 19 Erkennungen. Mal sehen wie sich die Sache entwickelt.
Ich habe bei Ricoh interessehalber nun auch mal ein Ticket eröffnet… Kurioser Fall
Bei einem PC waren im appwiz.cpl folgende Daten
SP Series Online Update
PFU Limited
Installation 23.07.2024
79,2MB
Version 1.2.39.0
Bis jetzt sind aktuell 2 Rechner von der Meldung betroffen.
Leider können wir aktuell nicht nachvollziehen ob die Software von der mitgelieferten CD damals installiert wurde oder mit dem damals aktuellsten Paket der Webseite
Support hat sich zurück gemeldet
######
Sehr geehrter…,
vielen Dank, dass Sie den Service Desk von PFUE kontaktiert haben.
Was für einen Scanner haben Sie, Seriennummer bitte.
Typische Funktionen von SsUCommon.dll:
Kommunikation zwischen Scanner-Software-Diensten und der Benutzeroberfläche
Verwaltung von Scannerprofilen und -einstellungen
Unterstützung bei der Bildverarbeitung
Update- und Serviceroutinen:
Haben Sie unsere Software PaperStream Capture im Einsatz?
Da diese Datein direkt von PFU (
(c) PFU Limited 2014-2024) ist, ist es kein Virus,
Sie könnten die Datei als Ausname in Ihrem Antivirus Program festlegen.
Geben Sie bitte kurz Bescheid ob dies Ihnen geholfen hat.
Mit freundlichen Grüßen,
Rainer
PFU Support team
**
also waren jetzt nicht überrascht, dass wohl die Meldung kam …